Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Datenschutz-Folgenabschätzung nach Absatz 2 erläutern, mit welchen Massnahmen diese Risiken reduziert werden. Massgebend dafür sind insbesondere die Grundsätze nach Artikel 4 VE-DSG, aber auch die Pflicht zum Datenschutz durch Technik und durch

datenschutzfreundliche Voreinstellungen (Art. 18 VE-DSG) können relevant sein. Bei diesen Massnahmen darf auch eine Abwägung zwischen den Interessen der betroffenen Person und denjenigen des Verantwortlichen oder des Auftragsbearbeiters erfolgen. Diese

Interessenabwägung ist in der Datenschutz-Folgenabschätzung ebenfalls aufzuführen und entsprechend zu begründen.

Absatz 3 Mitteilung an den Beauftragten

Nach Absatz 3 muss der Verantwortliche (bzw. der Auftragsbearbeiter) den Beauftragten über die Ergebnisse der Datenschutz-Folgenabschätzung sowie die Massnahmen

informieren, die vorgesehen sind, um das Risiko einer Verletzung der Persönlichkeit oder der Grundrechte der betroffenen Person zu verringern. Diese Konsultation wird durch den E-SEV 108 nicht vorgeschrieben, aber sie entspricht den europäischen Regelungen (Art. 28 der Richtlinie [EU] 2016/680 und Art. 36 der Verordnung [EU] 2016/679). Sie wird namentlich in den VE aufgenommen, weil sie dem Beauftragten erlaubt, präventiv und beratend tätig zu sein. Dies ist nicht zuletzt auch für den Verantwortlichen effizienter, da mögliche

datenschutzrechtliche Schwierigkeiten bereits in einem frühen Stadium der

Datenbearbeitung behoben werden können.

Absatz 4 Einwände des Beauftragten

Gemäss Absatz 4 teilt der Beauftragte dem Verantwortlichen innerhalb von drei Monaten nach Erhalt aller erforderlichen Informationen mit, falls er gegen die vorgesehenen

Massnahmen Einwände hat. Nachdem er über eine Datenschutz-Folgenabschätzung

benachrichtigt worden ist, überprüft der Beauftragte lediglich, ob die vorgeschlagenen Massnahmen zum Schutz der Grundrechte und der Persönlichkeit der betroffenen Person ausreichend sind. Hingegen nimmt er keine umfassende Prüfung des gesamten

Bearbeitungsvorgangs vor; diese Prüfung ist bereits Gegenstand der Datenschutz-

Folgenabschätzung. Erhält der Verantwortliche innerhalb der Dreimonatsfrist keine Nachricht vom Beauftragten, kann er grundsätzlich davon ausgehen, dass der Beauftragte keine Einwände gegen die vorgeschlagenen Massnahmen zum Grundrechtsschutz hat. Dem Datenschutzbeauftragten bleibt es indes unbenommen, zu einem späteren Zeitpunkt eine Untersuchung zu eröffnen, wenn die Voraussetzungen nach Artikel 41 VE-DSG erfüllt sind. Dies kann insbesondere der Fall sein, wenn im Rahmen der Datenschutz-

Folgenabschätzung die Risiken nicht korrekt eingeschätzt wurden und sich

dementsprechend auch die fraglichen Massnahmen nicht als zielgenau oder als nicht

ausreichend erweisen.

Ein Verstoss gegen die Pflicht zur Erstellung und Mitteilung einer Datenschutz-

Folgenabschätzung wird sanktioniert (siehe Art. 50 Abs. 1 Bst. c, 51 Abs. 1 Bst. d VE-DSG).

8.1.3.5 Art. 17 Meldung von Verletzungen des Datenschutzes

Artikel 17 VE-DSG führt die Pflicht zur Meldung von Verletzungen des Datenschutzes ein. Diese Bestimmung verwirklicht die Anforderungen von Artikel 7 Absatz 2 E-SEV 108 sowie von Artikel 30 der Richtlinie (EU) 2016/680. Der Artikel 33 der Verordnung (EU) 2016/679 enthält eine ähnliche Regelung.

Absatz 1 Begriff und Grundsatz

Nach Absatz 1 meldet der Verantwortliche dem Datenschutzbeauftragen eine unbefugte Datenbearbeitung oder den Verlust von Daten, es sei denn die Verletzung des

Datenschutzes führt voraussichtlich nicht zu einem Risiko für die Persönlichkeit und die Grundrechte der betroffenen Person. Dabei ist vom Begriff der Bearbeitung im Sinne von Artikel 3 Buchstabe d VE-DSG auszugehen. Demzufolge gilt jede Art der unbefugten

Bearbeitung als Verletzung des Datenschutzes, so dass beispielsweise auch die unbefugte Löschung eingeschlossen ist. Die Verletzung kann durch Dritte erfolgen, aber auch durch Mitarbeiter, die ihre Kompetenzen missbrauchen oder überschreiten. Durch eine unbefugte Datenbearbeitung kann die betroffene Person die Kontrolle über ihre Daten verlieren, oder